DIVISION DE LYON
Lyon, le 05 janvier 2017 XXXXXXX 
N/Réf. : CODEP-LYO-2017-000567 Monsieur le directeur Institut Laue Langevin BP 156 38042 GRENOBLE Cedex 9 Objet : Contrôle des installations nucléaires de base (INB)
 Institut Laue Langevin (ILL) - INB n°67 Référence à rappeler en réponse à ce courrier : INSSN-LYO-2016-0703 du 7 décembre 2016 Thème : « LT3i - Contrôle-commande » 
Réf : [1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V. 

[2] Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base Monsieur le directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection de votre établissement de Grenoble a eu lieu le 7 décembre 2016 sur le thème « LT3i - Contrôle-commande ». 

J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthese De L'Inspection

L'inspection du 7 décembre 2016 du réacteur à haut-flux (INB n°67) exploité par l'Institut Laüe Langevin (ILL) portait sur le contrôle-commande de systèmes de protection du réacteur, classés éléments importants pour la protection des intérêts (EIP), notamment le système de protection du cœur (fonction de refroidissement), le système de détection de fuite et d'isolement automatique des échangeurs et le circuit de dégonflage sismique (CDS). Dans un premier temps, les inspecteurs se sont intéressés aux contrôles, aux essais périodiques et à la maintenance réalisés sur ces différents systèmes. 

Ils ont notamment vérifié que ceux-ci étaient adaptés à la vérification du maintien des fonctions de sûreté qui leurs sont assignées. Ils ont ensuite examiné la bonne réalisation de ces contrôles. Dans un second temps, les inspecteurs se sont rendus en salle de commande pour visualiser les synoptiques et le contrôle-commande de ces équipements et vérifier le processus d'inhibition des alarmes de l'installation.

Il ressort de cette inspection que les essais périodiques des systèmes examinés sont globalement correctement réalisés et respectent les périodicités établies dans le référentiel de l'installation. Toutefois, il est apparu que l'ensemble des combinaisons possibles des automatismes liés à la fonction de refroidissement du « système de protection du cœur » devra être testé à chaque essai de ce système. Par ailleurs, les écarts récurrents sur le débit du circuit de refroidissement à l'arrêt (CRAB) devront être analysés. Enfin, le processus d'inhibition des alarmes de l'installation devra être amélioré.

## A. Demandes D'Actions Correctives Système De Protection Du Cœur (Fonction De Refroidissement)

Le système de protection du cœur fait partie du champ des essais de démarrage réalisés avant chaque cycle de fonctionnement du réacteur. Pour la fonction de refroidissement, ces essais comprennent notamment un test des capteurs associés à ce système. Le système, qui comporte 3 capteurs de pression en sortie cœur, réagit à un ordre d'arrêt déclenché dès que 2 cellules sont activées (logique de vote en 2/3). Lors de l'examen des relevés des essais avant démarrage, les inspecteurs ont constaté qu'une seule combinaison de capteur était testée par campagne d'essai. L'exploitant s'assure toutefois que l'ensemble des 3 combinaisons de capteurs soit testé sur trois campagnes d'essais consécutives. 

Or, le chapitre 5 des RGE « Vérifications et réglages périodiques »1, mentionne que les vérifications avant démarrage concernent les circuits de sécurité. Dans ce cadre « sont vérifiés, notamment, tous les contacts entrant dans la boucle d'autorisation de démarrage, la chute des barres de sécurité, toutes les combinaisons en deux sur trois des différents postes d'ouverture du circuit de sécurité, et la valeur de tous les seuils de déclenchement. » Demande A1 : Je vous demande, pour le système de protection du cœur, d'étendre les essais effectués sur les capteurs, lors des essais de redémarrage du réacteur, à l'ensemble des combinaisons possibles. Demande A2 : Je vous demande d'analyser l'origine de cet écart aux RGE, en procédant le cas échéant, à la déclaration d'un événement significatif pour la sûreté. Par ailleurs, au cours de ce même examen, les inspecteurs ont noté des écarts multiples et récurrents (notamment pour les 3 dernières campagnes de redémarrage) sur les relevés de débits attendus au cours des essais du circuit de refroidissement à l'arrêt « CRAB ». Les fiches d'explication associées à chaque campagne ne justifient pas formellement que ces écarts sont acceptables du point de vue de la sûreté. De plus, ces fiches n'ont pas toutes fait l'objet des validations attendues (opérateurs, vérificateurs, ingénieur de service). Enfin, elles n'étaient pas toutes jointes à la fiche d'essai associée au cycle de fonctionnement concerné et elles ne permettaient pas d'identifier celui-ci, ce qui rend le lien difficile à établir entre ces documents. Demande A3 : Je vous demande de vérifier que ces écarts multiples et récurrents sur les débits attendus au cours des essais du circuit de refroidissement « CRAB » sont acceptables du point de vue de la sûreté. Vous me transmettrez les conclusions de cette vérification. Le cas échéant, vous étudierez l'opportunité d'adapter les fourchettes d'acceptabilité associées, au travers du processus de modification de votre référentiel de sûreté. Demande A4 : Je vous demande de veiller à respecter les processus de validation définis par votre système de management intégré, tel que prévu par l'article 2.4.2 de l'arrêté du 7 février 2012 [2] et de vous assurer de l'ensemble de la traçabilité a postériori des contrôles réalisés et de leur vérification, conformément à l'article 2.5.7 de ce même arrêté. 

## Circuit De Dégonflage Sismique (Cds)

L'ordre de mise en sécurité du confinement, qui conduit notamment à déclencher le circuit de dégonflage sismique (CDS), est issu d'une logique de vote en 3/4 sur les capteurs de détection de radioactivité du hall réacteur. Or, le chapitre 0 des RGE « Prescriptions techniques »2, mentionne que cet équipement fonctionne sur une logique de vote en 2/3. Par ailleurs, lors de l'examen des relevés des essais réalisés avant chaque cycle de fonctionnement du réacteur, l'exploitant a mentionné que l'ensemble des essais liés au CDS n'était pas réalisé étant donné qu'une partie d'entre eux n'était plus nécessaire depuis une modification du système CDS. Par ailleurs, dans ces mêmes relevés, sur les quatre capteurs devant être testés, un même capteur apparait deux fois. Demande A5 : Je vous demande de vous assurer, avant la prochaine campagne d'essai de redémarrage, de la mise à jour des documents applicables décrivant les contrôles et essais périodiques liés au circuit de dégonflage. De manière plus générale, je vous demande de vous assurer que vos équipements, vos pratiques et vos documents applicables soient en cohérence. 

## Processus De Gestion Des Inhibitions D'Alarmes

Lors de la visite en salle de commande, les inspecteurs ont constaté que le processus de gestion des inhibitions d'alarmes demande encore à être amélioré. En effet : 
- trois alarmes affichées comme inhibées sur l'écran de supervision n'avaient pas fait l'objet d'une fiche d'inhibition ; 
- la liste des fiches d'inhibition des alarmes de l'installation n'était pas à jour : des fiches apparaissaient comme non clôturées alors qu'elles l'étaient dans les faits ; 
- l'une des fiches clôturées ne présentait pas les validations requises. 
Il convient de souligner que, dans le cadre des suites de l'événement significatif déclaré le 9 juillet 2015 relatif à une surpression dans le hall réacteur, vous vous êtes engagé à instaurer une fiche d'inhibition d'alarme (FIA) assurant la traçabilité de cette inhibition et permettant l'analyse et la mise en place formalisées d'éventuelles mesures compensatoires. 

Dans le cadre de l'inspection ASN de vérification des engagements réalisée en février 20163, il avait été constaté des écarts du même type que ceux cités précédemment. Vous aviez répondu en retour avoir mis en œuvre des actions pour vous prémunir de ce type d'écart. Au vu des constats précédents, il apparaît que ces actions n'ont pas été complètement efficaces. Demande A6 : Compte tenu des constats réitérés, je vous demande d'évaluer l'organisation mise en place dans le cadre du processus de gestion des inhibitions d'alarmes, et de la renforcer. Vous m'informerez des conclusions de cette évaluation et des dispositions complémentaires que vous mettrez en place. 

## B. Demandes D'Informations Complementaires Valeur De Pression En Sortie Du Cœur

Lors de visite en salle de commande, les inspecteurs ont examiné la valeur de pression en sortie du cœur du réacteur. Ils ont constaté que la valeur affichée sur le tableau de contrôle (TCMS) était exprimée en bars relatifs, alors que les valeurs de pression apparaissant dans les RGE de l'installation sont exprimées en bars absolus. Bien qu'un tableau de correspondance4 existe, cette situation est susceptible de mener à une confusion entre les différentes valeurs et à une erreur d'appréciation par les opérateurs de la valeur affichée par rapport aux limites applicables. Demande B1 : Afin d'éviter une erreur d'appréciation, je vous demande d'étudier la possibilité de mettre en cohérence l'unité d'affichage de la valeur de pression en sortie du cœur avec celles figurant dans les documents applicables à l'installation. 

## C. Observations

L'inspection n'a pas donné lieu à des observations. 

�
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée. 

## L'Adjoint À La Chef De La Division De Lyon De L'Asn

Signé par Richard ESCOFFIER